Vượt Thoát Và An Toàn

Loại an ninh mà bạn cần, tùy thuộc vào những hoạt động của bạn và hậu quả của nó. Có vài biện pháp an ninh mà mọi người nên thực thi dù cảm thấy bị đe dọa hay không. Một số cách cẩn trọng trên mạng đòi hỏi nhiều nỗ lực hơn, nhưng cần thiết, bởi vì những hạn chế khắt khe trong việc truy cập internet. Bạn có thể phải đối diện với những đe dọa từ kỹ thuật đang được nghiên cứu và áp dụng nhanh chóng, kỹ thuật cũ, trí tuệ của con người, hay sự kết hợp của cả ba. Tất cả những yếu tố trên có thể thay đổi luôn.

Vài thói quen tốt về an ninh

Có những bước mà mọi người dùng máy vi tính nên thực hiện để giữ an toàn. Đây có thể là việc bảo vệ tin tức của nhóm hoạt động, hoặc cũng có thể là số thẻ tín dụng của bạn, nhưng những công cụ cần dùng thì như nhau.

Nên thận trọng về những ứng dụng hứa hẹn sự an toàn hoàn hảo: an toàn trên mạng là kết hợp của cả phần mềm tốt và cách hành xử của người dùng. Biết những gì cần giữ bên ngoài mạng, ai có thể tin cậy được, và những câu hỏi khác về an ninh không thể trả lời chỉ bằng kỹ thuật. Hãy tìm những ứng dụng có liệt kê những rủi ro hoặc đã được phê bình, duyệt xét bởi dân trong nghề.

Giữ cho hệ điều hành được cập nhật, nhà sản xuất hệ điều hành cung cấp những cập nhật mà bạn nên thường xuyên cài đặt. Sự cập nhật này có thể tự động hoặc bạn có thể phải yêu cầu bằng cách đánh vào một lệnh hoặc điều chỉnh các cấu hình. Một số những cập nhật giúp máy chạy tốt hơn và dễ sử dụng hơn. Những cập nhật khác có thể là để trám những lỗ hổng an ninh. Kẻ tấn công thường khám phá ra những lỗ hổng an ninh này rất nhanh, đôi khi ngay cả trước khi nó được trám. Vì vậy nhanh chóng trám lại là điều tối cần.

Nếu bạn vẫn còn đang sử dụng Microsoft Windows thì cần cài đặt phần mềm chống vi-rút và thường xuyên cập nhật. Mã độc ( malware) là phần mềm được viết ra để đánh cắp tin tức hay dùng máy vi tính của bạn vào những mục đích khác. Vi-rút và mã độc có thể xâm nhập vào máy của bạn, làm thay đổi và tự ẩn náu. Chúng có thể được gởi đến từ một email, trên một trang web mà bạn đang thăm, hoặc là một phần của một tập tin không có vẻ gì đáng nghi. Công ty phần mềm chống vi-rút luôn luôn nghiên cứu những đe dọa sắp xuất hiện và thêm chúng vào sổ đen để máy ngăn chặn. Để phần mềm chống vi-rút có thể nhận diện những đe dọa mới, bạn phải thường xuyên cài đặt những cập nhật mới ra.

Dùng một mật khẩu tốt: tuy không có cách nào bảo vệ mật khẩu nếu bị đe dọa tính mạng, nhưng bạn có thể tăng độ an toàn lên bằng cách làm cho khó đoán. Kết hợp chữ, số và dấu chấm. Dùng vừa chữ thường vừa chữ hoa. Không dùng ngày sinh, số điện thoại, hoặc những chữ mà người ta có thể đoán qua những thông tin công khai về bạn.

Sử dụng Free and Open Source Software (FOSS) ( phần mềm nguồn mở miễn phí). Phần mềm nguồn mở vừa có thể sử dụng ngay mà vừa được cải thiện cùng lúc. Loại phần mềm này có nhiều ưu điểm về mặt an toàn hơn là loại phần mềm nguồn đóng (closed-source), hay phần mềm thương mại, mà đôi khi bạn dùng bất hợp pháp vì những hạn chế xuất khẩu hoặc vì giá mắc. Nên nhớ là bạn không thể tải xuống những cập nhật cho phần mềm lậu. Đối với phần mềm nguồn mở, bạn không phải đi tìm chúng trên những trang mạng đáng ngờ và có thể ấn bản đó bị nhiễm độc hoặc không an toàn. Bất cứ phiên bản chính thống đều miễn phí và lấy thẳng từ nhóm soạn thảo. Những lổ hổng an ninh, nếu có, thường được những người tình nguyện và sử dụng phát hiện. Cả một tập hợp những kỹ sư về phần mềm sẽ tìm ra giải pháp, thường rất nhanh chóng.

Sử dụng phần mềm có khả năng tách rời danh tánh bạn và tung tích bạn. Mỗi máy vi tính khi nối vào internet đều có một địa chỉ IP. Địa chỉ IP có thể dùng để xác định vị trí của bạn dễ dàng. Proxies, mạng riêng ảo (VPN), và mạng TOR chuyển thông tin của bạn xuyên qua từ một tới ba máy chủ trên thế giới. Nếu bạn chỉ đi qua một máy chủ, nên nhớ rằng cũng giống như nhà cung cấp dịch vụ internet (ISP), nhà cung cấp proxy có thể nhìn thấy toàn bộ  thông tin của bạn. Bạn có thể tin tưởng nhà cung cấp proxy hơn là ISP, nhưng lời cảnh báo trên áp dụng cho tất cả những điểm nối kết duy nhất. Xem phần nói về Proxies, TOR và VPN  để biết thêm về những rủi ro.

Dùng CD sống (live CD) hoặc đĩa USB khởi động được. Nếu bạn sử dụng máy vi tính công cộng hoặc một máy mà bạn không muốn lưu lại dữ kiện nào, sử dụng phiên bản của Linux có thể chạy từ một ổ đĩa di động. Một CD sống hoặc đĩa USB khởi động được, có thể được cắm vào máy tính và sử dụng mà không cần phải cài đặt gì hết. 

Sử dụng các phần mềm di động: có những phiên bản di động của phần mềm vượt thoát có thể chạy với Windows từ ổ đĩa USB.

Luôn luôn tự cập nhật chính mình: những nỗ lực để truy tìm, bạn có thể thay đổi. Kỹ thuật hữu dụng hôm nay có thể không hữu dụng hoặc trở nên không an toàn ngày mai. Mặc dù bạn có thể không cần tới ngay bây giờ, cũng nên biết khi cần phải tìm thông tin ở đâu. Nếu nhà cung cấp phần mềm bạn đang sử dụng có nhiều cách thức hỗ trợ, bạn cần phải biết những cách thức ấy trước khi trang nhà của họ bị chặn.

Truy cập an toàn những trang mạng xã hội

Trong khung cảnh của những xã hội khép kín và những quốc gia độc tài áp bức, sự theo dõi trở nên mối đe dọa lớn cho những người sử dụng những trang mạng xã hội, nhất là nếu họ sử dụng những trang mạng này để phối hợp những hoạt động của xã hội dân sự hoặc tham gia vào đấu tranh trên mạng, hoặc làm dân báo.

Một vấn đề lớn của mạng xã hội là những dữ kiện cá nhân về bạn mà bạn chia sẻ, sinh hoạt của bạn, những người mà bạn liên hệ, và ai có quyền xem những thông tin đó. Với kỹ thuật ngày một tiến triển và diễn đàn mạng xã hội được truy cập ngày càng nhiều bằng điện thoại thông minh (smartphone), việc tiết lộ vị trí của người sử dụng mạng ở xã hội ở bất cứ thời điểm nào đã trở nên một mối đe dọa đáng kể.

Trong khung cảnh đó, một vài đề phòng trở nên thiết yếu; thí dụ, bạn nên

• thay đổi những cấu hình bảo mật mặc định
• biết chính xác những thông tin gì mà bạn chia sẻ với ai
• hiểu biết rõ về cấu hình vị trí địa dư mặc định và thay đổi nếu cần
• chỉ nhận vào nhóm những người bạn biết và tin tưởng
• chỉ nhận vào nhóm những người có đủ hiểu biết và biết bảo vệ những thông tin mà bạn chia xẻ, hoặc hướng dẫn để họ biết
• cần nhận thức là ngay cả những người hiểu biết nhất trong nhóm cũng có thể tiết lộ tin tức nếu bị đe dọa, vì vậy cần giới hạn ai có thể biết được thông tin gì
• cần nhận thức là truy cập mạng xã hội qua một công cụ vượt thoát cũng không tự động giúp bảo mật trước hầu hết những đe dọa

Đọc thêm bài "Social Networking Privacy: How to be Safe, Secure and Social" (Bảo Mật Mạng Xã Hội: Làm sao để an toàn, bảo mật và vẫn xã giao") trong Privacy Rights Clearinghouse; http://www.privacyrights.org/social-networking-privacy/#general-tip.

Làm sao vào nếu diễn đàn mạng xã hội bị chận

Như được mô tả dưới đây, sử dụng HTTPS để truy cập các trang mạng là quan trọng. Nếu mạng xã hội cho phép truy cập bằng HTTPS, bạn tuyệt đối phải sử dụng nó và, nếu có thể, đổi thành cách mặc định. Thí dụ, trên Facebook, bạn có thể làm như sau: Account Settings > Account Security > Secure Browsing (https) để chọn HTTPS là cách mặc định để truy cập tài khoản Facebook. tại một vài nơi, sử dụng HTTPS cũng có thể cho phép bạn truy cập một dịch vụ bị ngăn chặn; thí dụ, http://twitter.com bị chặn ở Miến Điện, nhưng https://rwitter.com thì lại truy cập được.

Nếu bạn muốn ẩn danh và bảo mật khi vượt tường lửa để vào mạng xã hội, dùng đường hầm SSH hoặc VPN sẽ bảo mật tốt hơn là proxy mạng, vì nó không tiết lộ địa chỉ IP của bạn. Ngay cả sử dụng một mạng ẩn danh như TOR cũng có thể không đủ, bởi vì đối với mạng xã hội, thật dễ dàng để tìm ra những thông tin cá nhân, mối giao thiệp và quan hệ xã hội của bạn.

Dùng chung máy vi tính cho an toàn

Một tỉ lệ đáng kể dân chúng trên thế giới, nhất là tại những nước đang phát triển, không có phương tiện truy cập internet tại nhà. Lý do có thể là phí tổn cao cho đường truyền internet riêng tại nhà, không có máy vi tính, hoặc vì hạ tầng cơ sở điện lực & viễn thông có vấn đề.

Đối với thành phần này, cách thức giản tiện và ít tốn kém nhất để truy cập intenet là đến những nơi mà nhiều người dùng chung máy vi tính. Đó là những café internet, trung tâm viễn thông, nhà trường, thư viện.

Những lợi ích tiềm tàng của máy vi tính công cộng:

Có một số lợi ích khi truy cập vào mạng trên máy công cộng:

• Bạn có thể đón nhận những lời khuyên và giúp đỡ kỹ thuật từ những người khác hoặc từ nhân viên về việc vượt tường lửa

• Những công cụ vượt thoát có thể đã được cài đặt và cấu hình sẵn trên máy
• Những người khác có thể chia xẻ với bạn những tin tức không bị kểm duyệt bằng những phương tiện khác bên ngoài mạng
• Nếu bạn không thường xuyên sử dụng địa điểm nào đó và bạn không cung cấp những dữ kiện chứng minh nhân dân cho người quản lý, cũng như không đăng nhập vào mạng dùng tên thật, thì thật khó cho ai khác truy tìm ra bạn dựa trên những hoạt động trên mạng

Những rủi ro thông thường của máy vi tính công cộng

Việc bạn vào mạng tại một nơi công cộng, không làm cho bạn ẩn danh hoặc an toàn. Ngược lại là đằng khác. Sau đây là một số đe dọa chính yếu:

• Chủ nhân của máy, hoặc ngay cả người dùng máy trước bạn, có thể dễ dàng cài đặt trên máy một chương trình để theo dõi tất cả những gì bạn làm, kể cả việc ghi lại những mật khẩu của bạn. Máy cũng có thể được cài đặt những chương trình để vô hiệu hóa những phần mềm an ninh bảo mật bạn dùng.
• Tại một vài quốc gia như Miến Điện hay Cuba, những khách dùng của quán internet cà phê được yêu cầu trình chứng minh nhân dân hay hộ chiếu. Những thông tin cá nhân có thể được lưu trữ chung với quá trình lướt mạng của khách hàng
• Những dữ kiện trong máy bạn dùng có thể được lưu giữ lại (quá trình lướt mạng, cookies, tập tin được tải xuống, vv...)
• Phần mềm hoặc phần cứng keylogger cài đặt trên máy có thể ghi lại hoạt động của tất cả các phím trong suốt quá trình bạn sử dụng máy, gồm cả những mật khẩu của bạn, ngay cả  trước khi những thông tin này được gởi lên mạng. Tại Việt Nam, một bàn phím ảo tưởng như vô hại để đánh tiếng Việt được nhà cầm quyền sử dụng để theo dõi hoạt động của người sử dụng tại các quán café internet cũng như tại những nơi truy cập internet công cộng khác.
• Những hoạt động trên màn hình của bạn cũng có thể được ghi lại sau mỗi khoảng thời gian ấn định bằng một phần mềm đặc biệt. Bạn cũng có thể bị theo dõi qua hệ thống truyền hình kín, hay đơn giản hơn là  bị theo dõi bởi con người, như nhân viên quản lý nhìn lén sau lưng.

Máy vi tính công cộng và vấn đề kiểm duyệt 

Ngoài việc bị theo dõi, người dùng máy công cộng có thể chỉ được truy cập giới hạn vào mạng và còn gặp phải những trở ngại khác khi dùng các giải pháp vượt tường lửa: 

• Tại một số quốc gia như Miến Điện, chủ nhân quán café internet phải trưng bảng về các trang web có nội dung bị cấm và phải chịu trách nhiệm thi hành lệnh cấm đó.
• Người quản lý các quán có thể phải thêm một số kiểm duyệt để bổ túc lệnh kiểm duyệt từ ISP hoặc từ cấp quốc gia.
• Những người sử dụng, do giới hạn từ môi trường, có thể né tránh thăm những trang mạng nhất định vì sợ hãi, tức là đã tự kiểm duyệt chính mình.
• Máy tính thường được thiết kế để người dùng không thể cài đặt bất cứ phần mềm nào, luôn cả những công cụ vượt thoát, hoặc nối bất cứ thiết bị gì vào cổng USB, như ổ đĩa flash USB. Tại Cuba, nhà cầm quyền bắt đầu sử dụng một phần mềm để kiểm soát có tên là AvilaLink để ngăn chặn người dùng cài đặt, hoặc cho chạy những phần mềm từ một ổ đĩa USB.
• Người dùng có thể bị chặn không cho dùng trình duyệt nào khác ngoài Internet Explorer, để ngăn chặn việc sử dụng các tiện ích vượt thoát, hoặc những cấu hình cho những trình duyệt như Mozilla Firefox hoặc Google Chrome. 

Những thói quen tốt về an ninh và vượt tường lửa

Tùy thuộc vào môi trường bạn dùng máy công cộng, bạn có thể thử  những điều sau: 

• Nhận dạng phương pháp theo dõi như đã được nêu ở phần trên (truyền hình kín, người, keylogger, v.v...) và ứng xử tùy trường hợp.
• Chạy phần mềm vượt thoát từ ổ đĩa USB.
• Sử dụng hệ điều hành mà bạn kiểm soát được bằng cách dùng đĩa CD sống (live CD).
• Thay đổi quán cà phê internet nếu bạn sợ bị tiếp tục theo dõi, hoặc chỉ tới một nơi mà bạn tin tưởng an toàn.
• Mang theo máy laptop của bạn tới quán café internet thay vì sử dụng máy công cộng.

Bảo mật và HTTPS

Một số mạng có kiểm duyệt chủ yếu (hoặc hoàn toàn) dùng kiểu lọc theo từ khóa, thay vì chặn trang mạng. Thí dụ, mạng có thể chặn bất cứ thông tin nào có từ khóa được coi là nhạy cảm về chính trị, tôn giáo hay văn hóa. Việc chặn này có thể là công khai hay được trá hình như là một lỗi kỹ thuật. Thí dụ, khi bạn tìm kiếm điều gì mà người điều hành mạng không muốn, thì họ sẽ cho ra lỗi kỹ thuật. Như vậy người sử dụng sẽ ít đổ lỗi cho cơ quan kiểm duyệt.

Nếu nội dung của thông tin không được mã hóa thì thiết bị của ISP như định tuyến (router) và tường lửa sẽ nhìn thấy và như thế bộ lọc theo từ khóa có thể thực hiện được. Dấu nội dung thông tin đi bằng cách mã hóa sẽ khiến cho việc kiểm duyệt khó khăn hơn nhiều vì thiết bị sẽ không còn khả năng phân biệt thông tin có chứa từ khóa hay không.

Sử dụng mã hóa để bảo mật thông tin cũng đồng thời ngăn chặn thiết bị của mạng lưới ghi chép lại để phân tích sau đó.

HTTPS là gì?

HTTPS là phiên bản an ninh của giao thức HTTP dùng để truy cập internet. Nó nâng cấp mức độ an ninh trong việc truy cập mạng và ngăn chặn việc nghe lén và thay đổi nội dung thông tin. Dùng HTTPS để truy cập trang web có thể ngăn ngừa người điều hành mạng lưới biết được bạn đang xem phần nào của trang web cũng như những thông tin bạn gởi/nhận. Hầu hết các trình duyệt phổ thông đều hỗ trợ HTTPS, bạn không cần phải làm gì thêm để có thể sử dụng HTTPS. 

Nếu một trang web có phiên bản HTTPS, bạn có thể truy cập trang web an toàn đó bằng cách đánh địa chỉ bắt đầu bằng https:// thay vì http://. Bạn cũng có thể biết bạn có đang sử dụng trang web an toàn hay không, bằng cách nhìn vào địa chỉ trên thanh liên kết (navigation bar) của trình duyệt để biết địa chỉ có bắt đầu bằng https:// hay không.

Không phải trang web nào cũng có phiên bản HTTPS. Trên thực tế chỉ có khoảng 10%, tuy thế nhiều trang web lớn và phổ thông nhất đã có phiên bản HTTPS. Một trang web chỉ có thể được truy cập qua HTTPS nếu người điều hành trang web chủ đích cấu hình phiên bản HTTPS. Giới chuyên môn về an ninh mạng đã nỗ lực thuyết phục những người điều hành trang web làm như vậy, và số trang web với phiên bản HTTPS ngày càng gia tăng đều đặn. 

Nếu bạn thử truy cập một trang web qua HTTPS và nhận được thông báo ERROR thì điều đó không có nghĩa là trang web đó bị ngăn chặn mà đơn giản là trang web đó có thể không có phiên bản HTTPS. Tuy nhiên, một vài loại thông báo error có thể là chỉ dấu trang web đó bị ngăn chặn, nhất là nếu bạn biết được trang web đó có phiên bản HTTPS.

Thí dụ về những trang web có phiên bản HTTPS

Sau đây là một ít thí dụ về một số trang web phổ thông cho phép sử dụng HTTPS. Trong vài trường hợp, việc sử dụng HTTPS là tùy ý, vì vậy bạn phải chủ đích chọn phiên bản an toàn để có thể hưởng lợi ích của HTTPS.

Site name Tên trang web	Insecure (HTTP) version Phiên bản không an toàn (HTTP)	Secure (HTTPS) version Phiên bản an toàn (HTTPS)
Facebook	http://www.facebook.com/	https://www.facebook.com/
Gmail	http://mail.google.com/	https://mail.google.com/
Google Search	http://www.google.com/	https://encrypted.google.com/
Twitter	http://twitter.com/	https://twitter.com/
Wikipedia	http://en.wikipedia.org/	https://secure.wikimedia.org/wikipedia/en/wiki/
Windows Live Mail (MSN Hotmail)	http://mail.live.com/ http://www.hotmail.com/	https://mail.live.com/

Thí dụ, nếu bạn tìm kiếm từ https://encrypted.google.com/ thay vì từ http://www.google.com/, người điều hành mạng sẽ không thể nào nhìn thấy bạn đang kiếm từ gì, và vì vậy không thể ngăn chặn google (Tuy nhiên, người điều hành mạng có thể ngăn chặn toàn bộ https://encrypted.google.com/). Tương tự như vậy, nếu bạn sử dụng Twitter qua https://twitter.com/ thay vì http://twitter.com/, người điều hành mạng không thể nhìn thấy bạn đang đọc những tweets nào, bạn đang tìm kiếm những thẻ (tags) nào, những gì bạn đã đưa lên mạng, cũng như bạn dùng tài khoản nào để truy cập. (Tuy nhiên, người điều hành mạng lưới cũng có thể quyết định ngăn chặn mọi truy cập vào twitter.com qus HTTPS).

HTTPS và SSL

HTTPS sử dụng một giao thức an ninh mạng có tên là TLS (Transport Layer Security) hoặc SSL (Secure Sockets Layer). Bạn có thể nghe nói tới một trang web "dùng SSL", hoặc "trang web SSL", điều đó có nghĩa là trang web đó có thể truy cập được bằng HTTPS.

Dùng HTTPS thêm vào những kỹ thuật vượt thoát

Ngay cả những kỹ thuật vượt thoát sử dụng mã hóa cũng không thể thay thế cho việc sử dụng HTTPS, bởi vì mục tiêu của việc sử dụng mã hóa khác biệt.

Đối với nhiều kỹ thuật vượt thoát, gồm cả VPN, proxies, hoặc TOR, vẫn có thể sử dụng một cách thích hợp địa chỉ HTTPS để truy cập một trang web bị chặn cùng với kỹ thuật vượt thoát. Việc này khiến bảo mật được tốt hơn và ngay chính cả nhà cung cấp vượt thoát (circumvention provider) cũng không thể quan sát và thu ghi lại những gì bạn làm. Điều này có thể quan trọng ngay cả trong trường hợp bạn tin ttưởng rằng nhà cung cấp vượt thoát rất tốt với bạn, vì rằng họ có thể bị áp lực phải tiết lộ thông tin về bạn.

Một số nhà cung cấp kỹ thuật vượt thoát như TOR thúc giục người sử dụng luôn luôn dùng HTTPS, để đảm bảo rằng ngay những nhà cung cấp vượt thoát cũng không thể theo dõi họ. Bạn có thể đọc thêm về vấn đề này tại địa chỉ https://blog.torproject.org/blog/plaintext-over-tor-still-plaintext. Nên tập thói quen sử dụng HTTPS khi cho phép, ngay cả khi sử dụng những phương pháp vượt thoát khác.  

Mẹo sử dụng HTTPS

Nếu bạn thường đánh dấu các trang web mà bạn thường truy cập để khỏi phải đánh lại toàn bộ địa chỉ, bạn nhớ nên đánh dấu phiên bản an toàn của những trang web đó, thay vì đánh dấu phiên bản không an toàn.

Trong Firefox, bạn có thể cài đặt phần mở rộng HTTPS Everywhere để tự động truy cập phiên bản an toàn (nếu có) của trang web mà bạn truy cập. Phần mở rộng này có thể lấy được ở địa chỉ: https://www.eff.org/https-everywhere.

Rủi ro khi không dùng HTTPS

Khi bạn không sử dụng HTTPS, người điều hành mạng như dịch vụ ISP hay người điều hành tường lửa quốc gia, có thể ghi lại tất cả những gì bạn làm - gồm cả nội dung những trang mà bạn truy cập. Họ có thể sử dụng những thông tin này để chặn những trang cá biệt hoặc tạo những hồ sơ dùng để chống lại bạn sau này. Họ cũng có thể thay đổi nội dung những trang web hoặc xoá bỏ  một vài thông tin, hoặc cài đặt mã độc để theo dõi bạn, hoặc làm cho máy bạn bi nhiễm độc. Trong nhiều trường hợp, những người cùng sử dụng mạng lưới có thể cũng làm như vậy, mặc dù họ không phải là người điều hành mạng chính thức.

Trong năm 2010, một số những vấn đề đó đã được làm to chuyện vì một ứng dụng có tên là Firesheep, đã tạo điều kiện cho những người cùng sử dụng một mạng có thể chiếm một cách dễ dàng tài khoản của những người khác trong mạng xã hội. Firesheep hoạt động được là vì ở thời điểm đó, những trang mạng xã hội thường không sử dụng HTTPS, hoặc sử dụng một cách giới hạn chỉ để bảo vệ một phần những trang mạng này. Cú biểu diễn này đã tạo nhiều chú ý trong truyền thông quốc tế, và cũng đã khiến nhiều trang mạng khác yêu cầu sử dụng HTTPS hoặc đưa ra HTTPS như là một sự lựa chọn. Nó cũng đã cho phép những người không mấy rành kỹ thuật, có thể lạm dụng những người khác bằng cách xâm nhập vào tài khoản của họ.

Vào tháng giêng năm 2011, trong khoảng thời gian có xáo trộn chính trị tại Tunisia, nhà cầm quyền bắt đầu xâm nhập vào những người đang sử dụng Facebook để đánh cắp mật khẩu của họ. Họ thực hiện việc này bằng các thay đổi trang login của Facebook và kín đáo cài đặt một phần mềm để gửi mật khẩu của người dùng về cho nhà cầm quyền. Sự thay đổi này không mấy phức tạp về mặt kỹ thuật và có thể dược thực hiện bởi bất cứ người điều hành mạng nào ở bất cứ thời điểm nào. Theo chúng tôi được biết, người dùng Tunisia nào sử dụng Facebook với HTTPS hoàn toàn chống cự lại được cuộc tấn công này.

Rủi ro khi sử dụng HTTPS

Nếu có dùng thì HTTPS hầu như luôn luôn an toàn hơn là dùng HTTP. Ngay cả khi có vấn đề, cũng không dễ để dòm ngó hay ngăn chận thông tin của bạn. Do đó nên dùng HTTPS khi có thể (nhưng nhớ là, trên lý thuyết, dùng mã hóa có thể không hợp pháp trong một số quốc gia). Tuy nhiên có một số khía cạnh mà HTTPS có thể không hoàn toàn bảo vệ trọn vẹn.  

Cảnh báo chứng chỉ

Đôi khi, khi bạn truy cập một trang web qua HTTPS, trình duyệt sẽ cảnh báo rằng trang web có vấn đề về  chứng chỉ an ninh (digital certificate). Chứng chỉ này được dùng để bảo đảm an toàn cho sự nối kết. Những chứng chỉ như trên là để bảo vệ bạn chống lại sự tấn công, vì vậy xin đừng lờ chúng. Nếu bạn phớt lờ hoặc làm ngơ trước những cảnh báo về chứng chỉ, bạn vẫn có thể sử dụng trang web, nhưng khả năng của kỹ thuật HTTPS để bảo vệ thông tin của bạn sẽ bị giới hạn. Trong trường hợp đó, sự an toàn của bạn cũng không hơn gì HTTP thường.

Nếu bạn gặp phải cảnh báo về chứng chỉ, bạn nên email cho Webmaster của trang web và yêu cầu họ giải quyết vấn đề.

Nếu bạn sử dụng một trang web HTTPS của một cá nhân, thí dụ như một vài proxy, bạn có thể nhận được một thông điệp chứng chỉ có lỗi, bởi vì chứng chỉ được tự ký (self-signed), có nghĩa là không có căn cứ nào cho trình duyệt của bạn xác định xem sự thông tin có bị chặn hay không. Đối với những trang này, bạn không có lựa chọn nào ngoài việc chấp nhận chứng chỉ tự ký, nếu bạn còn muốn xem trang web. Tuy nhiên, bạn có thể thử xác nhận, qua một kênh khác như email hoặc tin nhắn nhanh, rằng chứng chỉ đó là đúng như trông đợi, hoặc xem nó có trông giống nhau khi sử dụng một máy khác để nối kết vào internet.

Nội dung pha trộn

Một trang web thường được cấu tạo bởi nhiều phần tử khác nhau, từ những nơi khác nhau, và được truyền tải riêng biệt nhau. Đôi khi, một trang web sử dụng HTTPS cho một số phần tử và HTTP cho những phần tử khác. Thí du, một trang web có thể chỉ dùng HTTPS để truy cập một số hình ảnh. Cho tới tháng 2 năm 2011, Trang web Wikipedia  an toàn có vấn đề này; mặc dầu văn bản của trang wikipedia có thể được nạp với HTTPS, tất cả những hình ảnh đều được nạp với HTTP. Vì vậy, một hình ảnh cá biệt nào đó có thể bị nhận diện và bị chặn, hoặc được sử dụng để xác định người sử dụng đang đọc trang Wiki nào.

Chuyển hướng sang phiên bản không an toàn HTTP của trang web

Một số trang web sử dụng HTTPS một cách giới hạn và bắt buộc người dùng trở lại sử dụng HTTP không an toàn để truy cập, mặc dù ban đầu người dùng truy cập bằng HTTPS. Thí dụ, một số trang web dùng HTTPS cho trang login để đăng nhập dữ kiện của tài khoản vào, nhưng lại dùng HTTP cho những trang khác sau khi người dùng đã vào. Cách cấu hình này khiến cho người dùng có nguy cơ bị theo dõi. Bạn nên nhớ rằng, nếu bạn bị trả trở lại trang web không an toàn trong quá trình sử dụng một trang web, bạn không còn được bảo vệ bởi HTPS.

Mạng lưới và tường lửa ngăn chặn HTTPS

Vì HTTPS gây trở ngại cho việc theo dõi và ngăn chặn, một số mạng ngăn chặn hoàn toàn việc truy cập bằng HTTPS đối với một số trang web đặc biệt, hoặc có thể ngăn chặn hoàn toàn việc sử dụng HTTPS. Trong trường hợp này, bạn bị giới hạn phải sử dụng HTTP thường không an toàn để  lướt mạng. Bạn có thể không truy cập được một trang web vì HTTPS bị chặn. Nếu bạn sử dụng HTTPS Everywhere hoặc một vài phần mềm tương đương, bạn có thể không vào được một số trang web vì phần mềm này không cho phép nối kết không an toàn.

Nếu một mạng ngăn chặn HTTPS, bạn phải giả dụ rằng, người điều hành mạng có thể nhìn và thu ghi tất cả những sinh hoạt của bạn trên mạng. Trong trường hợp này, bạn nên tìm kiếm những kỹ thuật vượt thoát khác, đặc biệt là những kỹ thuật với những dạng mã hóa khác, như là VPN và SSH proxies.  

Dùng HTTPS với một máy không an toàn

HTTPS chỉ bảo vệ nội dung thông tin khi nó được chuyển tải trên internet. Nó không bảo vệ máy của bạn cũng như những gì trên màn hình và trong ổ đĩa cứng. Nếu bạn sử dụng máy chung với người khác hoặc nếu máy thiếu an ninh, nó có thể chứa những phần mềm để theo dõi, hoặc phần mềm để thu ghi và chặn từ khóa nhạy cảm. Trong trường hợp đó, việc bảo vệ của HTTPS có thể trở nên không còn thích đáng nữa, vì sự theo dõi và kiểm duyệt xuất phát ngay từ máy của bạn, thay vì tường lửa trên internet.

Nhược điểm của hệ thống chứng chỉ HTTPS

Có một số vấn đề với hệ thống cấp chứng chỉ, cũng gọi là public-key-infrastructure (PKI) được dùng để chứng thực nối kết HTTPS. Điều đó có nghĩa là một kẻ tấn công rất tinh tường có thể khiến trình duyệt của bạn không cảnh báo khi bị tấn công, nếu kẻ tấn công có đúng phương tiện. Hiện chưa có tài liệu nào chứng minh rằng chuyện này đã xảy ra ở bất cứ nơi nào. Đây không phải là lý do để tránh sử dụng HTTPS, vì cả ngay trong trường hợp xấu nhất, HTTPS cũng vẫn an toàn không thua kết nối HTTP thường.

Kiến Thức Căn Bản